ひとつ注意点があります。質問ごとに答えた組織の数が違います。バックアップの質問には116件、感染経路の質問には92件——といった具合です。本記事では毎回、分母を明記します。

被害に遭った組織の90.5%が、バックアップを取っていました。「バックアップを取りましょう」という助言は、少なくともこの組織群にはすでに届いていたことになります。

ほかの備えも見てみます。

バックアップとウイルス対策ソフトは、どちらも9割近くが持っていました。いっぽう、BCPは策定済みが57.7%あるものの、サイバー攻撃を想定に入れていたのは18.0%にとどまります。

ここで思い出しておきたいのは、被害組織の63.3%が中小企業だったことです。「中小企業は対策が遅れている」とよく言われますが、少なくともバックアップとウイルス対策ソフトについては、9割が持っていました。専任の担当者がいない会社でも、この2つは入れていたということになります。

取っていた組織の約8割が、そのバックアップから戻せませんでした。では、なぜ戻せなかったのか。理由も数えられています。

88.2%が導入していて、そのうち検出したのは28.1%。7割以上のケースで、ウイルス対策ソフトは何も鳴らないまま被害が進みました。

パッチについても、少し意外な数字が出ています。

侵入に使われた機器の43.7%は、パッチが最新でした。「更新していなかったから入られた」という説明は、半分弱のケースには当てはまりません。

87.0%が、社外から社内へ入るための仕組みでした。VPN機器とリモートデスクトップ——どちらも境界に置かれた、外から入るための扉です。

そして不審メール経由は2.2%。92件のうち2件です。

ログをすべて保全できていたのは、4組織に1つ（24.5%）だけでした。取得していなかったのは4.9%しかありませんから、ほとんどは「取っていたのに使えなかった」ということになります。

なぜ使えなくなったのか。ここも数えられています。

犯人による削除29.4%と暗号化29.4%を合わせて58.8%。ログが消えた原因の6割近くが、攻撃者の手によるものです。バックアップと同じ構図で、ログもまた、攻撃者が届く場所に置いてありました。

そして保存期間経過が26.5%。これは攻撃とは無関係で、単に侵入から発覚までの時間が、ログの保存期間より長かったという意味になります。

1,000万円以上かかった組織が46件、51.7%。過半数です。いちばん多い区分が1,000万〜5,000万円（36.0%）で、1億円以上も5件ありました。ここでいう費用は調査にかかった額であり、業務が止まったことによる損失や、復旧そのものの費用は別に発生します。

目を引くのは「復旧中」が25件、23.4%という数字です。調査の時点で、4組織に1つはまだ元に戻っていません。1か月以上かかった組織（復旧中を含む）は47件、43.9%にのぼります。

ここまで見てきたことを、もう一度まとめます。

この統計を読んで印象に残ったのは、「やっていなかった」という数字がほとんど出てこないことでした。バックアップ90.5%、ウイルス対策88.2%、BCP策定57.7%。言われてきたことは、だいたいやっていたのです。

それでも226件が報告され、90.6%で業務に影響が出ました（全業務停止7.7%、一部に影響82.9%）。差を分けたのは、やるかどうかではなく、どこに置くかでした。バックアップの置き場所、ログの転送先、そして守るべき入口がどこか。ここを間違えると、9割の備えが2割しか効きません。